Auftragsverarbeitungsvertrag (AVV)

Zodra een dienstverlener afgedankte laptops ophaalt, harde schijven wist of gegevensdragers vernietigt, heeft hij toegang tot persoonsgegevens van uw bedrijf. De AVG vereist voor zulke gevallen een schriftelijke overeenkomst met vaste minimale inhoud: de verwerkersovereenkomst. Dit woordenlijstitem legt uit wat erin moet staan, wanneer ze bij het afvoeren van IT nodig is en welke fouten in de praktijk vaak voorkomen.

Wat is een verwerkersovereenkomst?

De AVG onderscheidt twee rollen. De verwerkingsverantwoordelijke beslist over doelen en middelen van de gegevensverwerking, in de regel uw bedrijf. De verwerker verwerkt gegevens alleen in diens opdracht en volgens diens instructies, bijvoorbeeld een datacenter, een salarisadministratiekantoor of een dienstverlener voor gegevensverwijdering.

De verwerkersovereenkomst, in het Duits vaak afgekort tot AV-Vertrag of AVV, is de juridische grondslag van deze samenwerking. Ze moet schriftelijk worden gesloten, waarbij een elektronisch formaat volstaat (art. 28 lid 9 AVG). De Europese Commissie heeft aanvullend modelcontractbepalingen voor verwerking gepubliceerd, die bedrijven kunnen gebruiken maar niet hoeven te gebruiken.

Belangrijk: de verwerkersovereenkomst verschuift de verantwoordelijkheid niet. U blijft verantwoordelijk voor de gegevens en moet de dienstverlener zorgvuldig selecteren. Volgens art. 28 lid 1 AVG mag u alleen werken met verwerkers die, door passende Technische en organisatorische maatregelen (TOM) voldoende garanties bieden.

Wat staat er in art. 28 AVG? De verplichte inhoud

Art. 28 lid 3 AVG noemt wat een verwerkersovereenkomst minimaal moet regelen. Naast onderwerp, duur, aard en doel van de verwerking, de soort gegevens en de categorieën betrokkenen zijn dat de volgende verplichtingen van de verwerker:

Verplichting (art. 28 lid 3)	Inhoud	Belang bij het afvoeren van IT
onder a – Gebondenheid aan instructies	Verwerking alleen op basis van gedocumenteerde instructies	U bepaalt welke wis- of vernietigingsmethode geldt
onder b – Vertrouwelijkheid	Medewerkers zijn tot vertrouwelijkheid verplicht	Verplichting van het personeel dat apparaten vervoert en verwerkt
onder c – Beveiliging	Maatregelen volgens art. 32 AVG	Veilig transport, toegangscontrole, beschermde opslag
onder d – Subverwerkers	Alleen onder de voorwaarden van lid 2 en 4	Of transport of vernietiging aan derden wordt uitbesteed
onder e – Rechten van betrokkenen	Ondersteuning bij verzoeken van betrokkenen	Informatie over of en wanneer een gegevensdrager is gewist
onder f – Ondersteuning	Hulp bij verplichtingen uit art. 32 tot en met 36 AVG	Melding als een apparaat verloren gaat (datalek)
onder g – Verwijdering of teruggave	Na afronding alle gegevens wissen of teruggeven	Kern van de dienst: verwijdering of vernietiging per gegevensdrager
onder h – Bewijzen en controles	Informatie verstrekken, controles mogelijk maken	Wis- en vernietigingscertificaten, auditrapporten, controles ter plaatse

Een verwerkersovereenkomst die alleen naar de wet verwijst, volstaat niet. De verplichtingen moeten op de concrete dienst zijn toegesneden, dus bijvoorbeeld beschrijven hoe apparaten worden verpakt, vervoerd, gewist en gedocumenteerd.

Wanneer is het afvoeren van IT een verwerking in opdracht?

Toezichthouders kwalificeren de verwijdering of vernietiging van gegevensdragers door een externe dienstverlener in de regel als verwerking in opdracht. De dienstverlener heeft toegang tot gegevensdragers met persoonsgegevens en handelt in uw opdracht. Dat geldt ook als hij de gegevens helemaal niet mag inzien, maar alleen vernietigt.

Worden apparaten verkocht en gaan ze in eigendom van de koper over, dan is de situatie complexer. Zolang er nog gegevens op de apparaten staan, blijft de bescherming van die gegevens tot aan de verwijdering uw taak. Veel bedrijven sluiten daarom ook bij inkoop met verwijdering een verwerkersovereenkomst of regelen de verwijdering contractueel op gelijkwaardige wijze. Welke inrichting in het individuele geval past, stemt u af met uw functionaris voor gegevensbescherming. Dit item vervangt geen juridisch advies.

Hoe u gegevensdragers over het geheel rechtszeker afstaat, laat onze gids zien: Gegevensdragers AVG-conform afvoeren.

Typische fouten bij de verwerkersovereenkomst

• Geen overeenkomst vóór de eerste ophaaldatum: Apparaten verlaten het pand voordat een verwerkersovereenkomst is ondertekend.
• Sjabloon zonder verband met de dienst: De overeenkomst noemt noch soorten gegevensdragers, noch wismethoden, noch het beveiligingsniveau van de vernietiging.
• Subverwerkers onbekend: Het blijft onduidelijk of een expediteur of een vernietigingsbedrijf is ingeschakeld. Meer hierover onder Subverwerker.
• TOM als lege bijlage: De bijlage bij art. 32 AVG is algemeen geformuleerd en beschrijft geen transport- en toegangsbeveiligingsmaatregelen.
• Geen bewijsregeling: Er is niet overeengekomen dat voor elk serienummer een wis- of vernietigingsbewijs wordt geleverd.
• Geen controle: De overeenkomst staat controles toe, maar niemand maakt gebruik van het recht of bekijkt certificaten.

Praktijkvoorbeeld: afvoer van 300 desktopcomputers

Een vereenvoudigd voorbeeld laat zien hoe de verwerkersovereenkomst in het proces werkt. Een bedrijf vervangt 300 desktopcomputers en geeft een dienstverlener opdracht voor ophalen, verwijderen en verwerken.

1. De IT maakt een Inventarislijst met serienummers. Gegevensbescherming toetst de TOM van de dienstverlener en sluit de verwerkersovereenkomst.
2. In de verwerkersovereenkomst is vastgelegd: verzegeld transport, verwijdering van elke gegevensdrager met een certificaat per serienummer, vernietiging van niet te wissen gegevensdragers, informatie over ingeschakelde subverwerkers.
3. Bij het ophalen wordt een overnameprotocol ondertekend. Vanaf hier geldt de gedocumenteerde Chain of custody.
4. Na afronding levert de dienstverlener de bewijzen. De IT stemt ze af met de inventarislijst en legt ze ter documentatie vast.

Zo kan het bedrijf bij een controle aantonen dat het aan zijn Verantwoordingsplicht is nagekomen.

Waarop Second IT inzet bij gegevensbescherming en bewijzen

Second IT levert de maatregelen die doorgaans in een verwerkersovereenkomst en de bijbehorende TOM-bijlage worden beschreven. Het ophalen gebeurt met eigen beveiligde logistiek: directe ritten zonder tussenopslag, gps-bewaking, manipulatiebestendige verzegeling en verzekerd transport. Bij de goederenontvangst worden alle apparaten gecontroleerd op opslagmedia en op serienummer geregistreerd. De verwerkingsruimten zijn beschermd door toegangscontrole en camerabewaking. Medewerkers zijn gebonden aan gegevensgeheimhouding; NDA’s zijn mogelijk.

Gewist wordt met Blancco, met een digitaal ondertekend wiscertificaat per apparaat. Niet te wissen gegevensdragers worden in eigen huis vernietigd volgens DIN 66399, gecertificeerd voor beveiligingsniveau H-5. Auditrapporten staan klaar in het klantenportaal. Second IT is gecertificeerd volgens ISO/IEC 27001. Meer over Gegevensbeveiliging bij Second IT.

Afbakening ten opzichte van verwante begrippen

de TOM beschrijven de concrete beschermingsmaatregelen en vormen meestal een bijlage bij de verwerkersovereenkomst. Een Geheimhoudingsovereenkomst (NDA) beschermt bedrijfsgeheimen in het algemeen, maar voldoet niet aan de verplichte inhoud van art. 28 AVG. Bij gezamenlijke verwerkingsverantwoordelijkheid volgens art. 26 AVG leggen twee verwerkingsverantwoordelijken gezamenlijk doelen en middelen vast. Dat is bij een dienstverlener voor verwijdering of vernietiging normaal gesproken niet het geval.

Let op, verwarringsgevaar: in het milieurecht staat de afkorting ‘AVV’ ook voor de afvalcatalogusverordening (Abfallverzeichnis-Verordnung), waaruit de Afvalcode afkomstig zijn. Ze heeft niets met gegevensbescherming te maken. Waar u bij de keuze van een dienstverlener over het geheel op moet letten, leest u in Een ITAD-aanbieder kiezen.

Veelgestelde vragen over de verwerkersovereenkomst

Heb ik een verwerkersovereenkomst nodig als een dienstverlener alleen harde schijven vernietigt?

In de regel ja. Ook wie gegevensdragers alleen vernietigt, heeft toegang tot persoonsgegevens en handelt in uw opdracht. Toezichthouders kwalificeren externe vernietiging van gegevensdragers daarom meestal als verwerking in opdracht. Stem de kwalificatie bij twijfel af met uw functionaris voor gegevensbescherming.

Moet een verwerkersovereenkomst op papier worden ondertekend?

Nee. Art. 28 lid 9 AVG vereist de schriftelijke vorm, maar staat uitdrukkelijk een elektronisch formaat toe. Belangrijk is dat de overeenkomst is vastgelegd en vóór het begin van de verwerking is gesloten.

Wat gebeurt er als er geen verwerkersovereenkomst is?

Dan ontbreekt een verplichting uit art. 28 AVG. Overtredingen van deze verplichting kunnen volgens art. 83 lid 4 AVG met een boete worden bestraft. Bovendien ontbreekt u in een noodgeval de contractuele grondslag om van de dienstverlener bewijzen en maatregelen te eisen.

Mag de dienstverlener andere bedrijven inschakelen?

Alleen met uw voorafgaande schriftelijke toestemming, hetzij in het individuele geval, hetzij in algemene zin. Bij een algemene toestemming moet hij u over wijzigingen informeren, zodat u bezwaar kunt maken. Voor ingeschakelde subverwerkers gelden dezelfde gegevensbeschermingsverplichtingen als voor de verwerker zelf.

Wat heeft de afvalcatalogusverordening met de verwerkersovereenkomst te maken?

Niets, behalve de afkorting. In de gegevensbescherming betekent AVV de verwerkersovereenkomst volgens art. 28 AVG. In het afvalrecht staat AVV voor de afvalcatalogusverordening (Abfallverzeichnis-Verordnung), die afvalsoorten en afvalcodes vastlegt.